教你一手：映像劫持......

oyypoyyk · 发表于 2007-7-10 09:38:22

本人在网上查了下，找到了一篇介绍映像劫持的文章，特意转来，大家一起来学习及讨论下......

－－－－－－－－－－－－－－－－－－－－－
映像劫持的定义
所谓的映像劫持（IFEO）就是Image File Execution Options，位于注册表的
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options       由于这个项主要是用来调试程序用的，对一般用户意义不大。默认是只有管理员和local system有权读写修改。
   通俗一点来说，就是比如我想运行QQ.exe，结果运行的却是FlashGet.exe，也就是说在这种情况下，QQ程序被FLASHGET给劫持了，即你想运行的程序被另外一个程序代替了。

映像劫持病毒
虽然映像劫持是系统自带的功能，对我们一般用户来说根本没什么用的必要，但是就有一些病毒通过映像劫持来做文章，表面上看起来是运行了一个程序，实际上病毒已经在后台运行了。
大部分的病毒和木马都是通过加载系统启动项来运行的，也有一些是注册成为系统服务来启动，他们主要通过修改注册表来实现这个目的，主要有以下几个方面：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce
更多启动项请参考：系统启动时所有可能加载启动程序的方式&&&系统加载方式一文。但是与一般的木马，病毒不同的是，就有一些病毒偏偏不通过这些来加载自己，不随着系统的启动运行，而是等到你运行某个特定的程序的时候运行，这也抓住了一些用户的心理，一般的用户，只要发觉自己的机子中了病毒，首先要察看的就是系统的加载项，很少有人会想到映像劫持，这也是这种病毒高明的地方。

映像劫持病毒主要通过修改注册表中的HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options 项来劫持正常的程序，比如有一个病毒 vires.exe 要劫持 qq 程序，它会在上面注册表的位置新建一个qq.exe项，再这个项下面新建一个字符串的键值　debugger 内容是：C:\WINDOWS\SYSTEM32\VIRES.EXE(这里是病毒藏身的目录)即可。当然如果你把该字符串值改为任意的其他值的话，系统就会提示找不到该文件。
映像胁持的基本原理
   WINDOWS NT系统在试图执行一个从命令行调用的可执行文件运行请求时，先会检查运行程序是不是可执行文件，如果是的话，再检查格式的，然后就会检查是否存在。如果不存在的话，它会提示系统找不到文件或者是“指定的路径不正确等等。把这些键删除后，程序就可以运行！

映像劫持的应用
★ 禁止某些程序的运行；
先看一段代码：
====================================================================================
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\qq.exe]
"Debugger"="123.exe"
====================================================================================
把它保存为 norun_qq.reg，双击导入注册表，打开你的QQ看一下效果咯！这段代码的作用是禁止QQ运行，每次双击运行QQ的时候，系统都会弹出一个框提示说找不到QQ，原因就是QQ被重定向了。如果要让QQ继续运行的话，把123.exe改为其安装目录就可以了。
★ 偷梁换柱恶作剧
每次我们按下CTRL+ALT+DEL键时，都会弹出任务管理器，想不想在我们按下这些键的时候让它弹出命令提示符窗口，下面就教你怎么玩：
====================================================================================
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\taskmgr.exe]
"Debugger"="C:\\WINDOWS\\pchealth\\helpctr\\binaries\\msconfig.exe"
====================================================================================
将上面的代码另存为 task_cmd.reg，双击导入注册表。按下那三个键看是什么效果，不用我说了吧，是不是很惊讶啊！精彩的还在后头呢？
★ 让病毒迷失自我；

同上面的道理一样，如果我们把病毒程序给重定向了，是不是病毒就不能运行了，答案是肯定的！下面就自己试着玩吧！
====================================================================================
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\sppoolsv.exe]
"Debugger"="123.exe"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\logo_1.exe]
"Debugger"="123.exe"
====================================================================================
上面的代码是以金猪报喜病毒和威金病毒为例，这样即使这些病毒在系统启动项里面，即使随系统运行了，但是由于映象劫持的重定向作用，还是会被系统提示无法找到病毒文件（这里是logo_1.exe和sppoolsv.exe）。是不是很过瘾啊，想不到病毒也有今天，嘎嘎～～
   当然你也可以把病毒程序重定向到你要启动的程序中去，如果你想让QQ开机自启动，你可以把上面的123.exe改为你QQ的安装路径即可，但是前提是这些病毒必须是随系统的启动而启动的。

映像劫持的应用也讲了不少了，下面就给大家介绍一下如何防止映象劫持吧！
关于映像劫持的预防，主要通过以下几个方法来实现：
★ 权限限制法
如果用户无权访问该注册表项了，它也就无法修改这些东西了。打开注册表编辑器，进入HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options ，选中该项，右键——>权限——>高级，将 administrator 和 system 用户的权限调低即可（这里只要把写入操作给取消就行了）。具体操作见下图：

★ 快刀斩乱麻法
打开注册表编辑器，进入把 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options 项，直接删掉 Image File Execution Options 项即可解决问题。
★ 软件修复法
这里给大家推荐一款软件：SREngLog 1.2 特别版
打开SREngLog 1.2——>修复指令文件——>映像胁持修复！搞定

[ 本帖最后由 oyypoyyk 于 2007-7-10 09:40 AM 编辑 ]

netwinxp · 发表于 2007-7-10 10:17:52

我这里面已经讲得很清楚了:lol http://bbs.wuyou.net/forum.php?m ... page%3D1&page=2

netwinxp · 发表于 2007-7-10 10:21:41

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options 是另一个映像绑架的位置，不过它大部分放系统文件，绑架它有可能导致系统崩溃;P

[ 本帖最后由 netwinxp 于 2007-7-10 10:23 AM 编辑 ]

123 · 发表于 2007-7-10 10:34:51

原帖由 netwinxp 于 2007-7-10 10:21 发表
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options 是另一个映像绑架的位置，不过它大部分放系统文件，绑架它有可能导致系统崩溃;P

我的小马早已实现这种功能，而且被绑架的程序照样可以运行，只是在运行前先运行我的小马。

netwinxp · 发表于 2007-7-10 10:44:06

这个玩艺儿不错，是否改一改用于PE，先判断可执行文件所需的支持的动态连接库，然后在那些动态连接库不存在时，则从外部的特定目录提取，动态载入，酱紫有助于提高PE中应用软件的兼容性，并减小PE所需的内存。

123 · 发表于 2007-7-10 10:47:16

原帖由 netwinxp 于 2007-7-10 10:44 发表
这个玩艺儿不错，是否改一改用于PE，先判断可执行文件所需的支持的动态连接库，然后在那些动态连接库不存在时，则从外部的特定目录提取，动态载入，酱紫有助于提高PE中应用软件的兼容性，并减小PE所需的内存。

用静态加载DLL的可以从PE文件头里得到，用Loadlibrary加载的要用HOOKAPI才能实现。

netwinxp · 发表于 2007-7-10 10:50:13

这个就全靠你了:) ，要是有这玩意儿那PE就好玩多了:lol，特别是硬盘版的PE，我们可以偷偷使用XP的东东。

[ 本帖最后由 netwinxp 于 2007-7-10 10:51 AM 编辑 ]

ywcn · 发表于 2007-7-10 12:52:47

原帖由 netwinxp 于 2007-7-10 10:50 AM 发表
这个就全靠你了:) ，要是有这玩意儿那PE就好玩多了:lol，特别是硬盘版的PE，我们可以偷偷使用XP的东东。

支持!不过为什么要"偷偷"?;P

netwinxp · 发表于 2007-7-10 13:14:17

因为硬盘中不一定有XP;P

xywlty · 发表于 2007-7-10 16:56:11

貌似123的东东不错啊!

雨哭了 · 发表于 2007-7-10 17:24:13

原帖由 123 于 2007-7-10 10:34 AM 发表

我的小马早已实现这种功能，而且被绑架的程序照样可以运行，只是在运行前先运行我的小马。

发一个出来啊,让大家都用用

kangyi · 发表于 2007-7-11 06:50:44

原帖由 netwinxp 于 2007-7-10 10:21 AM 发表
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options 是另一个映像绑架的位置，不过它大部分放系统文件，绑架它有可能导致系统崩溃;P

这么一来我总算明白了

总算知道了6618的那个”一个批处理让所有病毒完蛋“的作品的原理了，原来是让那些病毒和小马被重定向了:hug: :lol :$

kangyi · 发表于 2007-7-11 07:05:42

刚刚发现一个问题

如果病毒把自己放在system32文件夹里怎么办，咱跟着6618把他们”劫持“后岂不是主动帮他们指定了其路径？！他们自己根本不用找自己了

:lol :$ :hug:

		自动登录	找回密码
密码			注册

教你一手：映像劫持......

浏览过的版块